WO2006040895A1 - 中継装置、中継方法および中継プログラム並びにネットワーク攻撃防御システム - Google Patents

中継装置、中継方法および中継プログラム並びにネットワーク攻撃防御システム Download PDF

Info

Publication number
WO2006040895A1
WO2006040895A1 PCT/JP2005/016666 JP2005016666W WO2006040895A1 WO 2006040895 A1 WO2006040895 A1 WO 2006040895A1 JP 2005016666 W JP2005016666 W JP 2005016666W WO 2006040895 A1 WO2006040895 A1 WO 2006040895A1
Authority
WO
WIPO (PCT)
Prior art keywords
signature
priority
storage means
packet
suspect
Prior art date
Application number
PCT/JP2005/016666
Other languages
English (en)
French (fr)
Inventor
Katsuhiro Sebayashi
Hiroshi Kurakami
Yuji Soejima
Eric Chen
Hitoshi Fuji
Original Assignee
Nippon Telegraph And Telephone Corporation
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nippon Telegraph And Telephone Corporation filed Critical Nippon Telegraph And Telephone Corporation
Priority to JP2006540853A priority Critical patent/JPWO2006040895A1/ja
Priority to EP05782015A priority patent/EP1802057A1/en
Publication of WO2006040895A1 publication Critical patent/WO2006040895A1/ja

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/02—Details
    • H04L12/22—Arrangements for preventing the taking of data from a data transmission channel without authorisation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/56—Routing software

Definitions

  • Relay device Relay device, relay method, relay program, and network attack defense system
  • the present invention relates to a relay apparatus, a relay method, a relay program, and a network attack defense system that control the passage of a packet on a network based on a signature for controlling the passage of the packet.
  • the upstream or downstream relay device is a relay device having an adjacent relationship (hereinafter referred to as an adjacent relay device) and is a relay device for a direction in which an attack suspected packet flows. Then, the relay device that has received the suspect signature above transmits the suspect signature received from the downstream relay device to the upstream relay device and limits the transmission bandwidth of the attack suspect packet identified by the suspect signature. I do.
  • the relay device sets a normal condition for identifying a communication packet transmitted from a communication terminal used by a legitimate user (that is, a condition for a normal packet that is not considered an attack). Processing to transmit to the upstream relay device, generate a normal signature to identify the normal packet based on the normal condition and suspect signature, and then release the transmission bandwidth restriction of the normal packet identified by the normal signature I do . Further, the relay device that has received the normal condition as described above transmits the received normal condition to the upstream relay device, generates a normal signature based on the normal condition and the suspect signature, and is subsequently identified by the normal signature. Performs processing to release the transmission bandwidth limit for regular packets.
  • the relay device performs the process of limiting the transmission band of the suspected attack packet and the process of canceling the transmission band restriction of the regular packet, but performs the process.
  • the filter section That is, the filter unit of the relay apparatus puts a packet that matches the condition determination process using the normal signature into a predetermined queue, and then performs a condition determination process using the suspect signature for a packet that does not match the normal signature.
  • Patent Document 1 Japanese Patent Laid-Open No. 2003-283554
  • the present invention has been made to solve the above-described problems of the prior art, and a relay device capable of processing packets in a desired order when there are a plurality of signatures. It is an object to provide a relay method, a relay program, and a network attack defense system.
  • the invention according to claim 1 has a signature storage means for storing a signature for controlling the passing of packets, and the signature storage means has the signature storage means.
  • a relay device on the network that controls the passage of packets based on the stored signature, and a priority determination granting means for determining the priority order for the signature stored in the signature storage means; In order of the priority determined by the priority determining means, a packet is selected in order from the signature storage means, and packet control is performed for controlling the passage of the packet based on the selected signature. And a means.
  • the signature storage means is an automatically generated signature automatically generated by a predetermined condition determination and a setting set by an administrator of the network
  • the priority order determining means stores the automatically generated signature and the set signature stored in the signature storage means, so that the set signature is higher than the automatically generated signature.
  • V It is characterized by giving priority.
  • the signature storage means stores a plurality of signatures for restricting passage of the packet within a predetermined range
  • the priority storage means The order determining means is characterized in that the restriction range is strict and a higher priority is given to the signature for the plurality of signatures stored in the signature storage means.
  • an attack suspect packet is detected based on a predetermined attack suspect detection condition, and an suspect signature for limiting the attack suspect packet is generated.
  • a signature generation means and when the suspect signature is generated by the suspect signature generation means, the priority determination means assigns a priority to the suspect signature and stores it in the signature storage means. To do.
  • the invention according to claim 5 is the above invention, further comprising a normal signature generation means for generating a normal signature for permitting a legitimate packet based on a predetermined normal condition, and determining the priority order.
  • the means is characterized in that, when a normal signature is generated by the normal signature generation means, priority is given to the normal signature and stored in the signature storage means.
  • an illegal packet is detected based on predetermined illegal traffic detection conditions, and an illegal signature is generated to limit the illegal packet.
  • the priority order determination means assigns a priority to the illegal signature and stores it in the signature storage means when the illegal signature is generated by the illegal signature generation means.
  • the invention according to claim 7 includes, in the above invention, signature receiving means for receiving suspect signatures for limiting attack suspected packets by other relay device power, and the priority order determining means includes: When a suspect signature is received by the signature generating means, priority is given to the suspect signature and stored in the signature storage means.
  • the invention according to claim 8 is the above-described invention, wherein a normal signature for generating a normal signature for permitting a valid packet based on a predetermined normal condition received from the other relay device is provided.
  • Generating means and when the normal signature is generated by the normal signature generating means, the priority determining means assigns a priority to the normal signature and stores the priority in the signature storage means. .
  • the invention according to claim 9 is the above invention, further comprising signature input means for accepting and inputting the signature by the network administrator, and the priority order determining means is input by the signature input means.
  • priorities are assigned to the signatures and stored in the signature storage means.
  • the invention according to claim 10 has a signature storage means for storing a signature for controlling the passage of the packet, and the passage of the packet is based on the signature stored in the signature storage means.
  • a network attack defense system to be controlled the priority order determination giving means for determining the priority order for the signature stored in the signature storage means, and the priority order determined by the priority order determination means in descending order.
  • Packet control means for selecting a signature from the signature storage means and controlling passage of the packet based on the selected signature.
  • the invention according to claim 11 has signature storage means for storing a signature for controlling the passage of the packet, and controls the passage of the packet based on the signature stored in the signature storage means.
  • a relay method in a device on the network which determines a priority order for a signature stored in the signature storage means, and a priority order determination giving step, and a priority order determined by the priority order determination step is high. In order, a signature is selected from the signature storage means, and the selected signature is selected. And a packet control step for controlling the passage of the packet based on the channel.
  • the signature storage means is an automatically generated signature automatically generated by a predetermined condition determination and a setting set by an administrator of the network
  • the automatic generation signature and the setting signature stored in the signature storage means have a higher priority than the automatic generation signature in the set signature. It is characterized by giving.
  • the signature storage means stores a plurality of signatures for restricting passage of the packet within a predetermined range
  • the priority storage means The order determining step is characterized in that a plurality of signatures stored in the signature storage means give a higher priority to the signature because the limit range is strict.
  • a signature for controlling the passage of the packet is stored in the signature storage means, and the packet is allowed to pass through the V based on the signature stored in the signature storage means.
  • a packet control procedure for controlling the passage of the packet is stored in the signature storage means, and the packet is allowed to pass through the V based on the signature stored in the signature storage means.
  • the signature storage means is an automatically generated signature automatically generated by a predetermined condition determination and a setting set by an administrator of the network
  • the priority determination procedure is performed by the automatic generation signature and the setting signature stored in the signature storage means, so that the set signature is higher in priority than the automatic generation signature. It is characterized by giving.
  • the signature storage means is Storing a plurality of signatures for restricting the passage of the packet within a predetermined range, wherein the priority order determining procedure is based on the plurality of signatures stored in the signature storage means. It is characterized by giving a high priority to the signatures.
  • the priority order is determined for the signatures stored in the signature storage unit, and the signatures are selected in descending order of priority. Since the passage of the packet is controlled based on the selected signature, it is possible to process the packets in a desired order when there are a plurality of signatures.
  • a plurality of signatures for restricting the passage of packets within a predetermined range are given higher priority to a signature having a severe restriction range. As a result, it is possible to process packets more reliably without causing inconsistencies in packet control. .
  • the suspect signature is generated and the priority of the suspect signature is determined when the attack suspect packet is detected, the suspect signature generated when the attack suspect bucket is detected can be reduced. Priorities can be assigned without delay.
  • a normal signature is generated and the priority of the normal signature is determined, so that the normal signature generated at the time of detecting an attack suspect bucket is added. Priorities can be assigned without delay.
  • the priority of the suspect signature is determined, so that the suspect signature received from another relay device can be transmitted without delay. Priorities can be assigned.
  • the priority of the signature is determined, so that the priority set to the signature set by the network administrator can be given without delay. It becomes possible to grant.
  • FIG. 1 is a system configuration diagram showing a configuration of a network attack defense system.
  • FIG. 2 is a block diagram showing a configuration of the relay device.
  • FIG. 3 is a diagram showing an example of information stored in an attack suspect detection condition table.
  • FIG. 4 is a diagram showing an example of information stored in an unauthorized traffic detection condition table
  • FIG. 5 is a diagram showing an example of information stored in a normal condition table.
  • FIG. 6 is a diagram illustrating an example of information stored in a signature list.
  • FIG. 7 is a flowchart showing a processing procedure when an attack suspect packet is detected.
  • FIG. 8 is a flowchart showing a processing procedure when receiving a signature.
  • FIG. 9 is a flowchart showing a processing procedure when an illegal packet is detected.
  • the “suspect signature” used in this embodiment is a signature for restricting a packet suspected of attack (attack suspect packet).
  • the attribute indicates the characteristics of an attack suspect packet that is restricted from passing. (For example, destination IP address, protocol, destination port number, etc.) and restrictions (for example, restriction information for limiting the bandwidth when a specific packet flows in) are specified.
  • the "regular signature" used in the present embodiment refers to the passage of a regular packet (a regular packet that is a regular user communication packet) that is not considered an attack because of the power of the packet corresponding to the suspect signature. Specifically, it defines the attributes (for example, source IP address, service type, destination IP address, protocol, destination port number, etc.) that indicate the characteristics of regular packets that are allowed to pass through. Configured.
  • the "illegal signature" used in this embodiment is a signature for restricting illegal packets (packets satisfying illegal traffic) included in illegal traffic. Specifically, illegal packets Source IP address etc. are defined. [0040] [System Overview and Features]
  • FIG. 1 is a system configuration diagram showing the configuration of the network attack defense system according to the present embodiment.
  • the network attack defense system 100 includes a plurality of relay devices 10 on a network. Further, on this network, a server 20 as a computer subject to a DoS attack or a DDoS attack and a communication terminal 30 as a computer capable of performing such a DoS attack or a DDoS attack are connected.
  • a server 20 as a computer subject to a DoS attack or a DDoS attack
  • a communication terminal 30 as a computer capable of performing such a DoS attack or a DDoS attack
  • the server 20 when described as —1 or server 20—2 and each communication terminal 30 is distinguished, it will be described as communication terminal 30-1 to communication terminal 30-5.
  • the relay device 10 is configured such that at least one of the communication terminals 30 performs a DoS attack or a DDoS attack on the server 20 on the network.
  • a signature for controlling the passage of the packet is generated, and a normal signature for permitting the passage of the packet is generated.
  • the relay device 10 registers the signatures (suspect signatures, fraudulent signatures, and regular signatures) generated by the relay device 10 in the signature list.
  • the relay device 10 transmits the generated suspect signature (further, the normal condition used for generating the normal signature) to the adjacent relay device.
  • the relay device 10 when receiving the adjacent relay device capability suspect signature, etc., the relay device 10 generates a normal signature based on the normal condition, and at the same time, generates the received suspect signature and the generated normal signature.
  • Register with Yalist As an example of the adjacent relay device, in FIG. 1, the adjacent relay devices in the relay device 10-3 are the relay device 10-1, the relay device 10-2, the relay device 10-4, and the relay device 10—. 7 and there is no adjacency relationship with the relay device 10-5 and the relay device 10-6. This adjacency relationship does not mean physical adjacency.
  • Sarako relay device 10 receives a setting instruction for signatures (suspect signature, fraudulent signature, and regular signature) from the network administrator, registers the signature related to the setting instruction in the signature list, and has already registered the signature list. For the signatures registered in the signature list, the network administrator also accepts correction instructions, and registers the corrected signatures in the signature list.
  • the signature registered in the signature list by the network administrator's setting instructions and correction instructions is defined as the “setting signature”, and the relay device 10 generates the signature list itself and adds it to the signature list.
  • the registered signatures and those registered in the signature list after receiving the adjacent relay device power are defined as “auto-generated signatures”.
  • the relay device 10 registers the suspect signature, the illegal signature, and the regular signature in the signature list. Then, the relay device 10 controls the passage of the packet based on the strong signature list. In other words, with regard to packets that fall under illegal or suspect signatures, the transmission bandwidth is limited or discarded, and packets that fall under normal signatures or packets that do not fall under any of the signatures are discarded. Allow passage without restricting.
  • the relay apparatus 10 in the present embodiment is mainly characterized in that priority is given to the signatures registered in the signature list. Specifically, when the relay device 10 controls the passage of a packet, the relay device 10 performs a process of determining whether the packet corresponds to one of the signatures registered in the signature list. Select the signatures in descending order of priority (priority) from the strengths of the signatures registered in the signature list to determine whether or not the force is appropriate for the selected signature, and based on the corresponding signature. To control the packet. This makes it possible to process packets in the desired order even when there are multiple signatures.
  • the relay device 10 is a device for relaying packets while defending against attacks, and may function as a router or a bridge, for example. Further, the relay device 10 may be connected to a management network for managing the relay device 10 and the like, and the signature may be transmitted / received via the management network.
  • FIG. 2 is a block diagram showing the configuration of the relay device 10.
  • the relay device 10 includes a network interface unit 11, a packet acquisition unit 12, an attack detection unit 13 (as well as an attack suspect detection condition table 13a, an illegal traffic detection condition table 13b, and a normal condition table. 13c), a signature communication unit 14, a priority determination unit 15, a filter unit 16 (and a signature list 16a), and an input unit 17.
  • the relay device 10 includes a CPU (Central Processing Unit), a memory, a hard disk, and the like.
  • the packet acquisition unit 12, the attack detection unit 13, the signature communication unit 14, the priority order determination unit 15, and the filter unit 16 May be a module of a program processed by the CPU.
  • the module of this program may be processed by one CPU, or may be distributed and processed by a plurality of CPUs.
  • the relay device 10 may be installed with a general-purpose OS such as Linux, and the packet filter provided in the general-purpose OS may function as the filter unit 16.
  • the attack detection unit 13 corresponds to “suspect signature generation means”, “regular signature generation means”, and “illegal signature generation means” described in the claims, and the signature communication unit 14 is also “
  • the priority determination unit 15 corresponds to the “priority determination unit”
  • the filter unit 16 also corresponds to the “packet control unit”
  • the signature list 16a also corresponds to the “signature storage unit”.
  • the input unit 17 also corresponds to “signature input means”.
  • a network interface unit 11 is a means for transmitting and receiving packets to and from a communication device connected to a network.
  • a network Specifically, a LAN (Local Area Network) or a WAN (Wide Area Network) or the like is used.
  • Network connection card for connecting to other networks.
  • the input unit 17 is an input means for accepting various information and instructions as input by the network administrator.
  • the input unit 17 includes a keyboard, a mouse, a microphone, and the like, and is newly registered in, for example, a signature list 16a described later. Accepts and inputs signature setting instructions, already registered signature correction instructions, and deletion instructions.
  • a monitor or display, touch panel
  • the relay device 10 may be configured by providing output means for outputting various types of information.
  • the packet acquisition unit 12 is a processing unit that acquires a packet received by the network interface unit 11 and provides statistical information about the acquired packet statistics to the attack detection unit 13.
  • the attack detection unit 13 is a processing unit that performs attack detection and attack analysis based on the statistical information provided by the packet acquisition unit 12, and as shown in FIG. 2, detects attack suspects. It is connected to the condition table 13a, the illegal traffic detection condition table 13b, and the regular condition table 13c, respectively.
  • the contents of processing by the attack detection unit 13 will be explained.
  • FIG. 3 shows information stored in the attack suspect detection condition table 13a, more specifically, “attack suspect” used to detect an attack suspect packet in which the received packet may be an attack packet. It is a figure which shows an example of "detection conditions.” As shown in the figure, the attack suspect detection condition is composed of multiple sets (three sets in this case) of records that have a combination of detection attributes, detection thresholds, and detection intervals. If the traffic matches one of the record conditions, the traffic communication packet is recognized as a suspected attack packet. The number is used for convenience to identify the record.
  • the attribute of the IP header part included in the IP packet or the attribute of the TCP header part or UDP header part included in the payload part of the IP packet is specified. .
  • the record detection attribute of number 3 is specified by the attribute “19 2.168.1.0/24” of “DestinationIPAddress (destination IP address)”.
  • the "detection threshold" of the attack suspect detection condition is a minimum transmission band for detecting traffic of a received packet having a detection attribute specified in the same record as attack suspect traffic.
  • the “detection interval” in the attack suspect detection condition also specifies the minimum continuous time.
  • the value of “DestinationlPAddress (destination IP address)” is unconditional (any), and “Protocol ( You may specify a set of attribute values for which "protocol”) is "ICMP (internetControlMessageProtocol)".
  • FIG. 4 shows an example of the information stored in the unauthorized traffic detection condition table 13b, more specifically, an example of the “illegal traffic condition” used for detecting the unauthorized traffic based on the traffic power of the attack suspected packet.
  • the illegal traffic condition is also considered to be illegal traffic if the traffic pattern power of the known D DoS attack is also configured and matches the traffic pattern of any of the suspected attack packets. Be recognized. The number is used for convenience to specify the record (pattern).
  • the illegal traffic condition of number 1 indicates a traffic pattern that “the transmission band is Tl Kbps or more and packets are continuously transmitted for S 1 seconds or more”.
  • the traffic traffic condition of No. 2 indicates a traffic pattern that “the transmission band T2 Kbps or more and the echo response (EchoReply) message packet on ICMP (Internet Control Message Protocol) is continuously transmitted for S2 seconds or more”.
  • the illegal traffic condition of number 3 is “Transmission bandwidth T3Kbps or more, and the data contained in the packet is divided into multiple IP buckets because the data is too long. "V, RU", showing the traffic pattern.
  • FIG. 5 shows an example of “normal conditions” representing information stored in the normal condition table 13c, more specifically, a packet transmitted from the communication terminal 30 used by a legitimate user! FIG.
  • the normal condition is composed of a plurality of records consisting of pairs of attributes in the IP packet and those attribute values. The number is used for convenience to identify the record (pattern).
  • the source IP address of the server 20 to be protected such as the branch of the server owner's company or an affiliated company, is set, and the server 20 is accommodated!
  • the source IP address of the network that the owner recognizes as an authorized user is set.
  • the attack detection unit 13 detects the detection of an attack based on the statistical information provided by the packet acquisition unit 12, the attack suspected traffic communication packet (attack suspect packet) Generate a suspect signature to limit Specifically, the attack detection unit 13 continuously transmits a transmission band that is longer than the time specified by the detection interval and longer than the time specified by the detection threshold according to the attack suspect detection condition shown in FIG. The traffic that matches the detected attribute is checked, and if it matches any of the records, this traffic is detected as suspected traffic, and the attack detected at this time The detection attribute of the record of the attack suspect detection condition satisfied by the suspect traffic is generated as the suspect signature.
  • the attack detection unit 13 detects an attack, the attack detection unit 13 generates a normal signature together with the suspect signature. Specifically, referring to the normal condition shown in Fig. 5, the AND condition with the suspect signature is taken for every record of the normal condition, and this is generated as a normal signature.
  • This normal signature is a force that is a signature used to allow a regular packet whose suspect signature power is also a regular user's communication packet.
  • the attack detection unit 13 when detecting traffic that matches any of the patterns of the illegal traffic conditions shown in Fig. 4, the attack detection unit 13 generates an illegal signature for limiting the illegal traffic. Specifically, the source IP of the packet that satisfies the detected illegal traffic conditions An address is specified as an illegal address range, and a condition that the address is within the illegal address range and matches the suspect signature is generated as an illegal signature.
  • the suspect signature, the normal signature, and the illegal signature generated by the attack detection unit 13 described above are registered in the signature list 16a by the processing of the priority order determination unit 15 described later.
  • signatures registered in the signature list 16a saliva signatures, regular signatures, and unauthorized signatures
  • the signature communication unit 14 described later is used.
  • signatures received from adjacent relay devices and signatures newly set signatures or modified signatures in which the network administrator's capabilities are also input via the input unit 17.
  • a signature communication unit 14 is a processing unit that transmits the signature generated by the attack detection unit 13 to the adjacent relay device and receives the signature transmitted from the adjacent relay device.
  • the priority order determination unit 15 is configured by a network administrator via a signature registered in a signature list 16a (to be described later) (a signature received by the signature communication unit 14, a signature generated by the attack detection unit 13, and an input unit 17). It is a processing unit that determines the priority for the set signature).
  • the signature list 16 a representing the result of determining the priority order is created, and the created signature list 16 a is registered in the filter unit 16.
  • the signature includes restriction information for limiting the bandwidth when a specific packet flows in.
  • the signature list 16a will be described with reference to FIG.
  • FIG. 6 is a diagram showing an example of information stored in the signature list 16a.
  • the type of signature includes the setting signature set by the network administrator, the automatically generated signature automatically generated by the relay device 10 (the signature received by the signature communication unit 14 and the attack detection unit 13).
  • an illegal signature for restricting invalid packets, a regular signature for permitting valid packets, and a suspected attack packet are restricted. Can be divided into suspicion for signing.
  • the priority order determination unit 15 has a higher priority in the “setting signature” than in the “automatic generation signature” that is automatically generated.
  • the priority order of signatures to be registered in the signature list 16a is determined.
  • the priority ranking determination unit 15 makes the priority of “illegal signature” higher than that of “regular signature” or “suspect signature”, and moreover than “suspect signature”.
  • the priority order of signatures to be registered in the signature list 16a is determined so that the priority level of “regular signatures” is higher. Specifically, in the example of FIG. 6, it means that the lower the priority associated with the signature, the higher the priority, and the set signature (Signature A and Signature B), the unauthorized signature (Signature). C), normal signature (Signature D), and suspect signature (Signature E and Signature F) in this order.
  • the priority order determination unit 15 includes restriction information included in each signature.
  • the priority order is determined according to the contents of. As a specific example, the priority of the signature is increased as the signature bandwidth limit (the bandwidth allowed to pass if the packet is included in the bandwidth limit) is smaller.
  • the priority order determination unit 15 increases the priorities of a plurality of signatures within the same type (for example, regular signatures not including restriction information) in the order in which they are input to the signature list 16a. It may be. Furthermore, even if the restricted bandwidth is the same for multiple signatures within the same type, the priority may be increased in the order entered in the signature list 16a.
  • the priority order determination unit 15 determines the signature received by the signature communication unit 14, the signature generated by the attack detection unit 13, and the input unit 17 based on the signature type, the bandwidth limit, and the like. The priority order is determined for the signature set by the network administrator via. Then, the priority order determination unit 15 registers the signatures to which priority is given to the signature list 16a.
  • the filter unit 16 accepts a packet received by the network interface unit 11, and controls the passage of the packet (output of the packet from the network interface unit 11) based on the signature list 16a. Is a processing unit. Specifically, the filter unit 16 corresponds to one of the “illegal signature”, “regular signature”, and “suspect signature” registered in the signature list 16a for the input packet (or any However, more specifically, the signatures are selected in order from the highest priority (priority) according to the strength of the signature registered in the signature list 16a. It is determined whether or not the force corresponds to the signature. In other words, in the example shown in FIG. 6, the signature A force is selected in the order of signature F in the order of signature F.
  • the filter unit 16 inputs the packet to a predetermined queue described later, or Packet passing is controlled based on the contents of the selected signature, such as discarding, but after powerful control, processing for signatures with a lower priority than the signature used for this control is not performed.
  • the filter unit 16 filters the packet based on the signature C. Processes corresponding to illegal signatures such as input to a predetermined queue or discarding, and in packets thus controlled, signature D has a lower priority than signature C, and signature D is the signature. Do not process with F! /.
  • the filter unit 16 inputs the packet corresponding to the illegal signature to the illegal queue for processing the illegal packet, and the packet corresponding to the suspected signature is the suspect user. Packets that are entered into the suspect queue for use and that fall under the normal signature or packets that do not fall into any of the signatures are entered into the normal queue for the legitimate user.
  • the filter unit 16 outputs the packet input to the regular queue from the network interface unit 11 without limiting the transmission band, and the packet input to the suspect queue and the illegal queue to the respective signatures. (Limited according to the transmission bandwidth limit value indicated by the signature selected as satisfying the condition) and output.
  • the filter unit 16 cancels the signature that satisfies the predetermined release determination criterion. Then, based on the canceled signature, the processing for controlling the passage of the packet is stopped.
  • FIG. 7 is a flowchart showing the processing procedure when an attack suspect packet is detected.
  • step S1 when the attack detection unit 13 of the relay device 10 detects the attack suspect traffic based on the attack suspect detection condition table 13a shown in FIG. 3 (step S1), the suspect signature and A normal signature is generated (step S2). Then, the priority order determination unit 15 accepts the suspect signature and the normal signature generated by the attack detection unit 13, and determines the priority order of the signature (step S3).
  • the priority order determination unit 15 determines the priority of the regular signature higher than that of the suspect signature, and when there are multiple signatures corresponding to the type of the suspect signature, The smaller the bandwidth of the restriction information contained in the signature, the higher the priority of the signature is determined. Further, the priority of the suspect signature and the regular signature generated by the attack detection unit 13 is determined so that the priority of the setting signature already registered in the signature list 16a is higher.
  • the priority order determination unit 15 creates a signature list 16a representing the result of determining the priority order, and registers the created signature list 16a in the filter unit 16 (step S4). Further, the signature communication unit 14 transmits the signature generated by the attack detection unit 13 (in this embodiment, the suspect signature and the normal condition) to the adjacent relay device (step S5). Note that, as will be described later, the priority determination unit 15 not only detects attack suspected traffic, but also when the signature communication unit 14 receives a signature from another relay device 10 or the network administrator inputs the signature. In this case, the priority order is similarly determined.
  • FIG. 8 is a flowchart showing a processing procedure when receiving a signature.
  • the signature communication unit 14 of the relay device 10 receives a signature or the like (in this embodiment, a suspect signature and normal conditions) transmitted from an adjacent relay device (step S11), an attack is performed.
  • the detection unit 13 generates a normal signature based on the normal condition received by the signature communication unit 14 (step S12).
  • the priority order determination unit 15 accepts the suspect signature received by the signature communication unit 14 and the normal signature generated by the attack detection unit 13 and determines the priority order of the signature (step S 13).
  • the priority determination method is the same as that used when detecting the suspected attack packet described above.
  • the priority of the regular signature is determined to be higher than that of the suspect signature, and if there are multiple signatures corresponding to the type of the suspect signature, the smaller the bandwidth of the restriction information contained in each signature, the smaller the bandwidth , Decide the priority of signature high. Furthermore, the priority of the normal signature generated by the suspect signature and the attack detection unit 13 received by the adjacent relay device force is determined so that the priority of the setting signature already registered in the signature list 16a is higher. .
  • the priority order determination unit 15 creates a signature list 16a representing the result of determining the priority order, and registers the created signature list 16a in the filter unit 16 (step S14). Further, the signature communication unit 14 transmits the signature etc. (in the present embodiment, the received suspect signature and normal condition) that also received the adjacent relay device power to the adjacent relay device (step S15).
  • FIG. 9 is a flowchart showing a processing procedure when an illegal packet is detected.
  • the attack detection unit 13 of the relay apparatus 10 detects unauthorized traffic based on the unauthorized traffic condition detection table 13b shown in FIG. 4 (step S21), it generates an unauthorized signature. (Step S22). Then, the priority order determination unit 15 receives the illegal signature generated by the attack detection unit 13 and determines the priority order of the signature (step S23).
  • the priority order determining unit 15 is configured so that the setting signature already registered in the signature list 16a has a higher priority, and has already been registered in the signature list 16a.
  • the priority of the illegal signature generated by the attack detection unit 13 is determined so that the priority is higher than that of the suspect signature or the regular signature. Furthermore, if there are multiple signatures corresponding to the type of unauthorized signature, The priority of the signature is determined higher as the bandwidth of the restriction information included in the receiver is smaller.
  • the priority order determination unit 15 creates a signature list 16a representing the result of determining the priority order, and registers the created signature list 16a in the filter unit 16 (step S24). Note that the priority order determination unit 15 sets the input unit 17 from the network administrator in addition to detecting suspected attack traffic, receiving a signature from another relay device 10, or detecting an illegal packet. Even if the signature is input via the network administrator, the priority order of the signature set by the network administrator is determined according to the above-described priority determination method.
  • priorities are determined for the signatures registered in the signature list 16a, and the signatures are selected in order from the highest priority. Since the passage of packets is controlled based on the signatures, packets can be processed in a desired order when there are multiple signatures.
  • the setting signature is given higher priority than the automatically generated signature, so that the setting signature set by the network administrator is used preferentially for packet control. As a result, the control intended by the network administrator can be preferentially performed.
  • the restriction range is strict, and a higher priority is assigned to the signature. Therefore, the bandwidth of the restriction information included in the signature is strict, and as a result of being used for packet control with higher priority than the signature, it becomes possible to process the packet reliably without causing any contradiction in packet control.
  • the priority order is determined such that the priority level of “regular signature” is higher than that of “suspect signature”, but the present invention is limited to this. “Suspect Signature” has higher priority than “Regular Signature”.
  • the priority order may be determined. That is, the priority determination method described in the above embodiment is merely an example, and the present invention is not limited to this, and the present invention is similarly applied when other priority determination methods are adopted. Can be applied.
  • “suspicion signature” is always generated when an attack is detected, and when “suspect signature” is generated or when “suspicion signature” is received from another relay apparatus, Although the case where “regular signature” is generated has been described, the present invention is not limited to this, and it is possible to generate “regular signature” without generating “suspect signature” or to receive “suspect signature”. It may be possible to generate “regular signatures” instead of ⁇
  • each component of each device illustrated in the above embodiment is functionally conceptual, and is not necessarily physically configured as illustrated. This is not necessary.
  • the specific form of distribution and integration of the relay device 10 is not limited to the one shown in the figure, and all or part of the relay device 10 can be functionally functioned in arbitrary units according to various loads and usage conditions. Physically distributed 'can be integrated and configured.
  • all or a part of each processing function performed in the relay device 10 is realized by a CPU and a program that is analyzed and executed by the CPU, or hardware by wire logic. It can be realized as wear.
  • each device for example, relay device 10
  • Each function of each device is programmed in a computer such as a personal computer or a workstation. It can also be realized by executing.
  • the various processing procedures described in the first embodiment can be realized by executing a prepared program on a computer.
  • These programs can be distributed via a network such as the Internet.
  • these programs are recorded on a computer-readable recording medium such as a hard disk, a flexible disk (FD), a CD-ROM, an MO, and a DVD, and are executed by reading the recording medium force by the computer. You can also.
  • a CD-ROM storing the relay device program as shown in the embodiment may be distributed, and each computer may read and execute the program stored on the CD-ROM. Good.
  • the relay device, the relay method, the relay program, and the network attack defense system according to the present invention are useful for controlling the passage of packets on the network based on the signature for controlling the passage of packets.
  • it is suitable for processing packets in a desired order even when there are a plurality of signatures.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

　中継装置１０は、シグネチャリストにシグネチャ（容疑シグネチャ、正規シグネチャ、不正シグネチャ）を登録する際に、自動生成シグネチャよりも設定シグネチャの方が優先度が高くなるようになどの観点から、登録されるシグネチャの優先順位を決定する。そして、中継装置１０は、パケットの通過を制御する際に、シグネチャリストに登録されたシグネチャのなかから優先順位（優先度）の高い順にシグネチャを選択して、当該選択したシグネチャに該当するか否かを判別し、該当するシグネチャに基づいてパケットを制御する。 　　　 　　　

Description

明 細 書
中継装置、中継方法および中継プログラム並びにネットワーク攻撃防御シ ステム
技術分野
[0001] この発明は、パケットの通過を制御するためのシグネチヤに基づいてネットワーク上 のパケットの通過を制御する中継装置、中継方法および中継プログラム並びにネット ワーク攻撃防御システムに関する。
背景技術
[0002] 従来より、防御対象であるコンピュータが接続されたネットワーク上に複数の中継装 置を有し、 DoS (DenialolService)攻撃または DDoS (DistributedDenialolService)攻 撃を受けるコンピュータを防御するネットワーク攻撃防御システムが知られて 、る。例 えば、特許文献 1 (特開 2003— 283554号公報）に開示されたネットワーク攻撃防御 システムでは、中継装置において、予め決められた攻撃容疑パケットの検出条件に 通信トラヒックが合致する力否かをチェックする。そして、合致したトラヒックを検出した 場合に、中継装置は、検出された攻撃容疑パケットを識別するための容疑シグネチ ャを生成して上流の中継装置へ送信するとともに、以後、容疑シグネチヤによって識 別される攻撃容疑パケットの伝送帯域を制限する処理を行う。
[0003] ここで、上流または下流の中継装置とは、隣接関係をもつ中継装置 (以下、隣接中 継装置という。）であって、かつ、攻撃容疑パケットが流入する方向に対する中継装置 である。そして、上記で容疑シグネチヤを受信した中継装置は、下流の中継装置から 受信した容疑シグネチヤを上流の中継装置に送信するとともに、容疑シグネチヤによ つて識別される攻撃容疑パケットの伝送帯域を制限する処理を行う。
[0004] また、この従来技術における中継装置は、正規利用者が利用する通信端末から送 信された通信パケットを特定するための正規条件 (つまり、攻撃とはみなされない正 規パケットの条件)を上流の中継装置へ送信するとともに、正規条件および容疑シグ ネチヤに基づいて正規パケットを識別するための正規シグネチヤを生成し、以後、正 規シグネチヤによって識別される正規パケットの伝送帯域制限を解除する処理を行う 。さらに、上記で正規条件を受信した中継装置は、受信した正規条件を上流の中継 装置へ送信するとともに、正規条件および容疑シグネチヤに基づいて正規シグネチ ャを生成し、以後、正規シグネチヤによって識別される正規パケットの伝送帯域制限 を解除する処理を行う。
[0005] 上記したように、従来技術における中継装置は、攻撃容疑パケットの伝送帯域を制 限する処理を行うとともに、正規パケットの伝送帯域制限を解除する処理を行うが、か 力る処理を行うのがフィルタ部である。つまり、中継装置のフィルタ部では、正規シグ ネチヤによる条件判定処理で合致したパケットを所定のキューに入れた後、正規シグ ネチヤに合致しないパケットに対して容疑シグネチヤによる条件判定処理を行う。
[0006] 特許文献 1：特開 2003— 283554号公報
発明の開示
発明が解決しょうとする課題
[0007] し力しながら、上記した従来の技術は、中継装置において、正規シグネチヤによる 条件判定処理および容疑シグネチヤによる条件判定処理を予め決められた固定的 な順序で処理するので、ネットワーク攻撃防御システムにお 、て望ま 、形態となる ような所望の処理順序でパケットを処理することができな 、と 、う問題があった。
[0008] そこで、この発明は、上述した従来技術の課題を解決するためになされたものであ り、複数のシグネチヤがある場合において所望の順序でパケットを処理することが可 能な中継装置、中継方法および中継プログラム並びにネットワーク攻撃防御システム を提供することを目的とする。
課題を解決するための手段
[0009] 上述した課題を解決し、 目的を達成するため、請求項 1に係る発明は、パケットの通 過を制御するためのシグネチヤを記憶するシグネチヤ記憶手段を有し、当該シグネ チヤ記憶手段に記憶されたシグネチヤに基づいてパケットの通過を制御するネットヮ ーク上の中継装置であって、前記シグネチヤ記憶手段に記憶されるシグネチヤにつ Vヽて優先順位を決定する優先順位決定付与手段と、前記優先順位決定手段によつ て決定された優先順位の高 、順に、前記シグネチヤ記憶手段からシグネチヤを選択 し、当該選択されたシグネチヤに基づ 、て前記パケットの通過を制御するパケット制 御手段と、を備えたことを特徴とする。
[0010] また、請求項 2に係る発明は、上記の発明において、前記シグネチヤ記憶手段は、 所定の条件判定によって自動的に生成された自動生成シグネチヤおよび前記ネット ワークの管理者によって設定された設定シグネチヤを記憶するものであって、前記優 先順位決定手段は、前記シグネチヤ記憶手段に記憶される自動生成シグネチヤおよ び設定シグネチヤにっ 、て、当該自動生成シグネチヤよりも設定シグネチヤの方に高 V、優先順位を付与することを特徴とする。
[0011] また、請求項 3に係る発明は、上記の発明において、前記シグネチヤ記憶手段は、 前記パケットの通過を所定の範囲で制限するための複数のシグネチヤを記憶するも のであって、前記優先順位決定手段は、前記シグネチヤ記憶手段に記憶される複数 のシグネチヤにっ 、て、前記制限の範囲が厳し 、シグネチヤの方に高 、優先順位を 付与することを特徴とする。
[0012] また、請求項 4に係る発明は、上記の発明において、所定の攻撃容疑検出条件に 基づいて攻撃容疑パケットを検出し、当該攻撃容疑パケットを制限するための容疑シ グネチヤを生成する容疑シグネチヤ生成手段を備え、前記優先順位決定手段は、前 記容疑シグネチヤ生成手段によって容疑シグネチヤが生成された場合に、当該容疑 シグネチヤに優先順位を付与して前記シグネチヤ記憶手段に格納することを特徴と する。
[0013] また、請求項 5に係る発明は、上記の発明において、所定の正規条件に基づいて 正当なパケットを許可するための正規シグネチヤを生成する正規シグネチヤ生成手 段を備え、前記優先順位決定手段は、前記正規シグネチヤ生成手段によって正規シ グネチヤが生成された場合に、当該正規シグネチヤに優先順位を付与して前記シグ ネチヤ記憶手段に格納することを特徴とする。
[0014] また、請求項 6に係る発明は、上記の発明において、所定の不正トラヒック検出条件 に基づ!/、て不正パケットを検出し、当該不正パケットを制限するための不正シグネチ ャを生成する不正シグネチヤ生成手段を備え、前記優先順位決定手段は、前記不正 シグネチヤ生成手段によって不正シグネチヤが生成された場合に、当該不正シグネ チヤに優先順位を付与して前記シグネチヤ記憶手段に格納することを特徴とする。 [0015] また、請求項 7に係る発明は、上記の発明において、攻撃容疑パケットを制限する ための容疑シグネチヤを他の中継装置力 受信するシグネチヤ受信手段を備え、前 記優先順位決定手段は、前記シグネチヤ生成手段によって容疑シグネチヤが受信さ れた場合に、当該容疑シグネチヤに優先順位を付与して前記シグネチヤ記憶手段に 格納することを特徴とする。
[0016] また、請求項 8に係る発明は、上記の発明において、前記他の中継装置から受信し た所定の正規条件に基づいて正当なパケットを許可するための正規シグネチヤを生 成する正規シグネチヤ生成手段を備え、前記優先順位決定手段は、前記正規シグ ネチヤ生成手段によって正規シグネチヤが生成された場合に、当該正規シグネチヤ に優先順位を付与して前記シグネチヤ記憶手段に格納することを特徴とする。
[0017] また、請求項 9に係る発明は、上記の発明において、ネットワーク管理者力もシグネ チヤを受け付けて入力するシグネチヤ入力手段を備え、前記優先順位決定手段は、 前記シグネチヤ入力手段によってシグネチヤが入力された場合に、当該シグネチヤ に優先順位を付与して前記シグネチヤ記憶手段に格納することを特徴とする。
[0018] また、請求項 10に係る発明は、パケットの通過を制御するためのシグネチヤを記憶 するシグネチヤ記憶手段を有し、当該シグネチヤ記憶手段に記憶されたシグネチヤ に基づ 、てパケットの通過を制御するネットワーク攻撃防御システムであって、前記 シグネチヤ記憶手段に記憶されるシグネチヤにつ ヽて優先順位を決定する優先順位 決定付与手段と、前記優先順位決定手段によって決定された優先順位の高 、順に 、前記シグネチヤ記憶手段からシグネチヤを選択し、当該選択されたシグネチヤに基 づ 、て前記パケットの通過を制御するパケット制御手段と、を備えたことを特徴とする
[0019] また、請求項 11に係る発明は、パケットの通過を制御するためのシグネチヤを記憶 するシグネチヤ記憶手段を有し、当該シグネチヤ記憶手段に記憶されたシグネチヤ に基づいてパケットの通過を制御するネットワーク上の装置における中継方法であつ て、前記シグネチヤ記憶手段に記憶されるシグネチヤにつ!、て優先順位を決定する 優先順位決定付与工程と、前記優先順位決定工程によって決定された優先順位の 高い順に、前記シグネチヤ記憶手段からシグネチヤを選択し、当該選択されたシグネ チヤに基づ 、て前記パケットの通過を制御するパケット制御工程と、を含んだことを特 徴とする。
[0020] また、請求項 12に係る発明は、上記の発明において、前記シグネチヤ記憶手段は 、所定の条件判定によって自動的に生成された自動生成シグネチヤおよび前記ネッ トワークの管理者によって設定された設定シグネチヤを記憶するものであって、前記 優先順位決定工程は、前記シグネチヤ記憶手段に記憶される自動生成シグネチヤ および設定シグネチヤにっ 、て、当該自動生成シグネチヤよりも設定シグネチヤの方 に高 ヽ優先順位を付与することを特徴とする。
[0021] また、請求項 13に係る発明は、上記の発明において、前記シグネチヤ記憶手段は 、前記パケットの通過を所定の範囲で制限するための複数のシグネチヤを記憶するも のであって、前記優先順位決定工程は、前記シグネチヤ記憶手段に記憶される複数 のシグネチヤにっ 、て、前記制限の範囲が厳し 、シグネチヤの方に高 、優先順位を 付与することを特徴とする。
[0022] また、請求項 14に係る発明は、パケットの通過を制御するためのシグネチヤをシグ ネチヤ記憶手段に記憶し、当該シグネチヤ記憶手段に記憶されたシグネチヤに基づ Vヽてパケットの通過を制御する方法をコンピュータに実行させる中継プログラムであ つて、前記シグネチヤ記憶手段に記憶されるシグネチヤにつ！、て優先順位を決定す る優先順位決定付与手順と、前記優先順位決定手順によって決定された優先順位 の高い順に、前記シグネチヤ記憶手段からシグネチヤを選択し、当該選択されたシグ ネチヤに基づ!/、て前記パケットの通過を制御するパケット制御手順と、を備えたことを 特徴とする。
[0023] また、請求項 15に係る発明は、上記の発明において、前記シグネチヤ記憶手段は 、所定の条件判定によって自動的に生成された自動生成シグネチヤおよび前記ネッ トワークの管理者によって設定された設定シグネチヤを記憶するものであって、前記 優先順位決定手順は、前記シグネチヤ記憶手段に記憶される自動生成シグネチヤ および設定シグネチヤにっ 、て、当該自動生成シグネチヤよりも設定シグネチヤの方 に高 ヽ優先順位を付与することを特徴とする。
[0024] また、請求項 16に係る発明は、上記の発明において、前記シグネチヤ記憶手段は 、前記パケットの通過を所定の範囲で制限するための複数のシグネチヤを記憶するも のであって、前記優先順位決定手順は、前記シグネチヤ記憶手段に記憶される複数 のシグネチヤにっ 、て、前記制限の範囲が厳し 、シグネチヤの方に高 、優先順位を 付与することを特徴とする。
発明の効果
[0025] 請求項 1、 10、 11または 14の発明によれば、シグネチヤ記憶部に記憶されるシグ ネチヤにつ 、て優先順位を決定しておき、優先順位の高 、順にシグネチヤを選択し 、当該選択されたシグネチヤに基づいてパケットの通過を制御するので、複数のシグ ネチヤがある場合において所望の順序でパケットを処理することが可能になる。
[0026] また、請求項 2、 12または 15の発明によれば、自動生成シグネチヤよりも設定シグ ネチヤの方に高 、優先順位を付与するので、ネットワーク管理者が設定した設定シグ ネチヤが優先的にパケットの制御に用いられる結果、ネットワーク管理者が意図する 制御を優先的に行うことが可能になる。
[0027] また、請求項 3、 13または 16の発明によれば、パケットの通過を所定の範囲で制限 するための複数のシグネチヤについては、制限の範囲が厳しいシグネチヤの方に高 い優先順位を付与するので、シグネチヤに含まれる制限情報の帯域が厳しいシグネ チヤほど優先的にパケットの制御に用いられる結果、パケットの制御に矛盾を生じさ せることなぐ確実にパケットを処理することが可能になる。
[0028] また、請求項 4の発明によれば、攻撃容疑パケットの検出に際して、容疑シグネチヤ を生成するとともに当該容疑シグネチヤの優先順位を決定するので、攻撃容疑バケツ ト検出時に生成される容疑シグネチヤに遅滞なく優先順位を付与することが可能にな る。
[0029] また、請求項 5の発明によれば、攻撃容疑パケットの検出に際して、正規シグネチヤ を生成するとともに当該正規シグネチヤの優先順位を決定するので、攻撃容疑バケツ ト検出時に生成される正規シグネチヤに遅滞なく優先順位を付与することが可能にな る。
[0030] また、請求項 6の発明によれば、不正トラヒックの検出に際して、不正シグネチヤを 生成するとともに当該不正シグネチヤの優先順位を決定するので、不正トラヒック検 出時に生成される不正シグネチヤに遅滞なく優先順位を付与することが可能になる。
[0031] また、請求項 7の発明によれば、他の中継装置力も容疑シグネチヤを受信した際に 、当該容疑シグネチヤの優先順位を決定するので、他の中継装置から受信した容疑 シグネチヤに遅滞なく優先順位を付与することが可能になる。
[0032] また、請求項 8の発明によれば、他の中継装置から正規条件を受信した際に、正規 シグネチヤを生成するとともに当該正規シグネチヤの優先順位を決定するので、正規 条件受信時に生成される正規シグネチヤに遅滞なく優先順位を付与することが可能 になる。
[0033] また、請求項 9の発明によれば、ネットワーク管理者力もシグネチヤを受け付けた際 に、当該シグネチヤの優先順位を決定するので、ネットワーク管理者によって設定さ れたシグネチヤに遅滞なく優先順位を付与することが可能になる。
図面の簡単な説明
[0034] [図 1]図 1は、ネットワーク攻撃防御システムの構成を示すシステム構成図である。
[図 2]図 2は、中継装置の構成を示すブロック図である。
[図 3]図 3は、攻撃容疑検出条件テーブルに記憶される情報の例を示す図である。
[図 4]図 4は、不正トラヒック検出条件テーブルに記憶される情報の例を示す図である
[図 5]図 5は、正規条件テーブルに記憶される情報の例を示す図である。
[図 6]図 6は、シグネチヤリストに記憶される情報の例を示す図である。
[図 7]図 7は、攻撃容疑パケット検出時の処理手順を示すフローチャートである。
[図 8]図 8は、シグネチヤ受信時の処理手順を示すフローチャートである。
[図 9]図 9は、不正パケット検出時の処理手順を示すフローチャートである。
符号の説明
[0035] 10 中継装置
11 ネットワークインタフェース
12 パケット検出部
13 攻撃検出部
14 シグネチヤ通信部 15 優先順位決定部
16 フイノレタ咅
17 入力部
20 サーバ
30 通信端末
100 ネットワーク攻撃防御システム
発明を実施するための最良の形態
[0036] 以下に添付図面を参照して、この発明に係る中継装置、中継方法および中継プロ グラム並びにネットワーク攻撃防御システムの実施例を詳細に説明する。なお、以下 では、本実施例で用いる主要な用語、ネットワーク攻撃防御システムの概要および特 徴、中継装置の構成および処理、本実施例の効果を順に説明し、最後に本実施例 に対する種々の変形例を説明する。
実施例
[0037] [用語の説明]
まず最初に、本実施例で用いる主要な用語を説明する。本実施例で用いる「容疑 シグネチヤ」とは、攻撃容疑のあるパケット（攻撃容疑パケット）を制限するためのシグ ネチヤであり、具体的には、通過が制限される攻撃容疑パケットの特徴を示す属性（ 例えば、宛先 IPアドレス、プロトコル、宛先ポート番号など)や制限内容 (例えば、特 定のパケットが流入するときの帯域を制限するための制限情報など)を規定して構成 される。
[0038] また、本実施例で用いる「正規シグネチヤ」とは、容疑シグネチヤに該当するパケット のな力から攻撃とはみなされな 、正規パケット（正規ユーザの通信パケットである正 規パケット）の通過を許可するためのシグネチヤであり、具体的には、通過が許可され る正規パケットの特徴を示す属性 (例えば、送信元 IPアドレス、サービスタイプ、宛先 I Pアドレス、プロトコル、宛先ポート番号など）を規定して構成される。
[0039] また、本実施例で用いる「不正シグネチヤ」とは、不正トラヒックに含まれる不正パケ ット（不正トラヒック条件を満たすパケット）を制限するためのシグネチヤであり、具体的 には、不正パケットの送信元 IPアドレス等を規定して構成される。 [0040] [システムの概要および特徴]
次に、図 1を用いて、本実施例に係るネットワーク攻撃防御システムの概要および 特徴を説明する。図 1は、本実施例に係るネットワーク攻撃防御システムの構成を示 すシステム構成図である。
[0041] 同図に示すように、このネットワーク攻撃防御システム 100は、ネットワーク上に複数 の中継装置 10を備えて構成される。また、このネットワーク上には、 DoS攻撃や DDo S攻撃の対象となるコンピュータとしてのサーバ 20や、かかる DoS攻撃や DDoS攻撃 を行い得るコンピュータとしての通信端末 30が接続されている。なお、以下では、図 示した中継装置 10の各々を区別する場合には、それぞれ中継装置 10— 1〜中継装 置 10— 7として説明し、サーバ 20の各々を区別する場合には、サーバ 20— 1または サーバ 20— 2として説明し、通信端末 30の各々を区別する場合には、通信端末 30 —1〜通信端末 30— 5として説明する。
[0042] 力かるネットワーク攻撃防御システム 100において、中継装置 10は、通信端末 30 のうち少なくとも 1つ以上の通信端末 30がネットワーク上のサーバ 20に対して DoS攻 撃または DDoS攻撃を行っていることを検出した場合に、パケットの通過を制御する ためのシグネチヤ（容疑シグネチヤや不正シグネチヤ）を生成するとともに、パケットの 通過を許可するための正規シグネチヤを生成する。そして、中継装置 10は、自ら生 成したシグネチヤ（容疑シグネチヤ、不正シグネチヤおよび正規シグネチヤ）をシグネ チヤリストに登録する。
[0043] また、中継装置 10は、生成した容疑シグネチヤ（さらには、正規シグネチヤの生成 に用いた正規条件)を隣接中継装置に送信する。その一方で、中継装置 10は、隣接 中継装置力 容疑シグネチヤ等を受信した場合には、正規条件に基づ!、て正規シグ ネチヤを生成するとともに、受信した容疑シグネチヤおよび生成した正規シグネチヤ をシグネチヤリストに登録する。なお、隣接中継装置について例を挙げると、図 1にお いて、中継装置 10— 3における隣接中継装置は、中継装置 10—1、中継装置 10— 2、中継装置 10— 4および中継装置 10— 7であり、中継装置 10— 5および中継装置 10— 6とは、隣接関係をもたない。また、この隣接関係は、物理的な隣接を意味する ものではない。 [0044] さら〖こ、中継装置 10は、ネットワーク管理者からシグネチヤ (容疑シグネチヤ、不正 シグネチヤおよび正規シグネチヤ）の設定指示を受け付けて、設定指示に係るシグネ チヤをシグネチヤリストに登録するとともに、既にシグネチヤリストに登録されているシ グネチヤにつ 、てネットワーク管理者力も修正指示を受け付けて、修正後のシグネチ ャをシグネチヤリストに登録する。なお、本実施例では、ネットワーク管理者の設定指 示や修正指示によってシグネチヤリストに登録されたシグネチヤのことを「設定シグネ チヤ」と定義し、中継装置 10が自ら生成してシグネチヤリストに登録されたシグネチヤ や、隣接中継装置力 受信してシグネチヤリストに登録されたシグネチヤのことを「自 動生成シグネチヤ」と定義して説明する。
[0045] このようにして、中継装置 10は、容疑シグネチヤ、不正シグネチヤおよび正規シグ ネチヤをシグネチヤリストに登録する。そして、中継装置 10は、力かるシグネチヤリスト に基づいてパケットの通過を制御する。つまり、不正シグネチヤや容疑シグネチヤに 該当するパケットについては、伝送帯域を制限して通過させる力もしくは廃棄し、正 規シグネチヤに該当するパケットやいずれのシグネチヤにも該当しないパケットにつ いては、伝送帯域を制限せずに通過を許可する。
[0046] そして、本実施例における中継装置 10は、シグネチヤリストに登録されるシグネチヤ に優先順位を付与している点に主たる特徴がある。具体的には、中継装置 10は、パ ケットの通過を制御する際に、そのパケットがシグネチヤリストに登録されたシグネチヤ のいずれか〖こ該当するかを判別する処理を行うが、本実施例では、シグネチヤリスト に登録されたシグネチヤのな力から優先順位 (優先度)の高 、順にシグネチヤを選択 して、当該選択したシグネチヤに該当する力否かを判別し、該当するシグネチヤに基 づいてパケットを制御するようにしている。このため、複数のシグネチヤがあっても所 望の順序でパケットを処理することが可能になる。
[0047] なお、中継装置 10は、攻撃を防御しながらパケットを中継するための装置であり、 例えば、ルータとして機能してもよぐまたは、ブリッジとして機能してもよい。また、中 継装置 10は、中継装置 10等を管理するための管理用ネットワークに接続されていて もよぐシグネチヤは、管理用ネットワークを介して送受されてもよい。
[0048] [中継装置の構成] 次に、図 2を用いて、図 1に示した中継装置 10の構成を説明する。図 2は、中継装 置 10の構成を示すブロック図である。同図に示すように、この中継装置 10は、ネット ワークインタフェース部 11と、パケット取得部 12と、攻撃検出部 13 (並びに攻撃容疑 検出条件テーブル 13a、不正トラヒック検出条件テーブル 13bおよび正規条件テー ブル 13c)と、シグネチヤ通信部 14と、優先順位決定部 15と、フィルタ部 16 (並びに シグネチヤリスト 16a)と、入力部 17とを備えて構成される。
[0049] また、中継装置 10は、 CPU (CentralProcessingUnit)やメモリ、ハードディスク等を 有しており、パケット取得部 12、攻撃検出部 13、シグネチヤ通信部 14、優先順位決 定部 15およびフィルタ部 16は、 CPUによって処理されるプログラムのモジュールで あってもよい。また、このプログラムのモジュールは、 1つの CPUで処理されてもよく、 複数の CPUに分散して処理されてもよい。さらに、中継装置 10には、 Linux等の汎 用 OSをインスト一ノレしておき、汎用 OSに具備されるパケットフィルタをフィルタ部 16 として機能させてもよい。
[0050] なお、攻撃検出部 13は特許請求の範囲に記載の「容疑シグネチヤ生成手段」、「正 規シグネチヤ生成手段」、「不正シグネチヤ生成手段」に対応し、シグネチヤ通信部 1 4は同じく「シグネチヤ受信手段」に対応し、優先順位決定部 15は同じく「優先順位 決定手段」に対応し、フィルタ部 16は同じく「パケット制御手段」に対応し、シグネチヤ リスト 16aは同じく「シグネチヤ記憶手段」に対応し、入力部 17は同じく「シグネチヤ入 力手段」に対応する。
[0051] 図 2において、ネットワークインタフェース部 11は、ネットワークと接続されている通 信機器との間でパケットを送受する手段であり、具体的には、 LAN (LocalAreaNetwo rk)または WAN (WideAreaNetwork)などのネットワークと接続するためのネットワーク 接続カード等によって構成される。
[0052] 入力部 17は、ネットワーク管理者力も各種の情報や指示の入力を受付ける入力手 段であり、キーボードやマウス、マイクなどによって構成され、例えば、後述するシグ ネチヤリスト 16aに新たに登録されるシグネチヤの設定指示、既に登録されているシ グネチヤの修正指示や削除指示などを受け付けて入力する。なお、図 2には示して いないが、例えば、モニタ（若しくはディスプレイ、タツチパネル）やスピーカなど、各 種の情報を出力する出力手段を備えて中継装置 10を構成するようにしてもよい。
[0053] パケット取得部 12は、ネットワークインタフェース部 11が受信したパケットを取得し、 取得したパケットの統計に関する統計情報を攻撃検出部 13に提供する処理部であ る。
[0054] 攻撃検出部 13は、パケット取得部 12によって提供された統計情報に基づいて、攻 撃の検出および攻撃の分析を行う処理部であり、図 2に図示するように、攻撃容疑検 出条件テーブル 13a、不正トラヒック検出条件テーブル 13bおよび正規条件テープ ル 13cにそれぞれ接続される。ここで、各テーブル 13a〜13cに記憶される情報を具 体的に説明した後に、攻撃検出部 13による処理内容を説明する。
[0055] 図 3は、攻撃容疑検出条件テーブル 13aに記憶される情報、より詳細には、受信パ ケットが攻撃パケットである可能性がある攻撃容疑パケットを検出するために使用され る「攻撃容疑検出条件」の一例を示す図である。同図に示すように、攻撃容疑検出条 件は、検出属性、検出閾値および検出間隔の組合せ力 なる複数組 (ここでは 3組） のレコードで構成され、力かる攻撃容疑検出条件の各レコードの内のいずれかのレコ ードの条件にトラヒックが一致した場合に、このトラヒックの通信パケットは攻撃容疑パ ケットであると認識される。なお、番号はレコードを特定するために便宜上使用される ものである。
[0056] 攻撃容疑検出条件の「検出属性」には、例えば、 IPパケットに含まれる IPヘッダ部 の属性や、 IPパケットのペイロード部に含まれる TCPヘッダ部または UDPヘッダ部 の属性が指定される。具体的には、図 3において、番号 1のレコードの検出属性は、「 DestinationlPAddress (宛先 IPアドレス）」が「192.168.1.1/32」であり（dst=192.168.1.1 /32)、 IPの上位層（TCPまたは UDP)のプロトコル種別を示す「Protocol (プロトコル） 」が「TCP」であり（Protocol=TCP)、かつ、 IPの上位層プロトコルがどのアプリケーショ ンの情報であるかを示す「DestinationPort (宛先ポート番号）」が「80」である（Port=80 ) ヽぅ属性値の組で指定される。
[0057] また、番号 2のレコード検出属性は、「DestinationIPAddress (宛先 IPアドレス）」が「1 92.168.1.2/32」であり（dst=192.168.1.2/32)、かつ、「Protocol (プロトコル）」力^ UDP (UserDatagramprotocol)」である（Protocol=UDP)と!、う属性値の組で指定される。同 様に、番号 3のレコード検出属性は、「DestinationIPAddress (宛先 IPアドレス）」が「19 2.168.1.0/24」という属性で指定される。
[0058] 攻撃容疑検出条件の「検出閾値」は、同じレコードで指定される検出属性を持つ受 信パケットのトラヒックを攻撃容疑トラヒックとして検出するための最低の伝送帯域を指 定したものであり、攻撃容疑検出条件の「検出間隔」は、同じく最低の連続時間を指 定したものである。なお、図 3には示していないが、検出属性においては、「Destinati onlPAddress (宛先 IPアドレス）」の値を無条件 (any)とし、かつ、 IPの上位層のプロト コノレ種別を示す「Protocol (プロトコノレ）」が「ICMP (internetControlMessageProtocol) 」となる属性値の組を指定するようにしてもょ 、。
[0059] 図 4は、不正トラヒック検出条件テーブル 13bに記憶される情報、より詳細には、攻 撃容疑パケットのトラヒック力も不正トラヒックを検出するために用いられる「不正トラヒ ック条件」の一例を示す図である。同図に示すように、不正トラヒック条件は、既知の D DoS攻撃の複数のトラヒックパターン力も構成され、攻撃容疑パケットのトラヒックカ^ヽ ずれかのトラヒックパターンに合致した場合に、不正トラヒックであると認識される。な お、番号はレコード (パターン)を特定するために便宜上使用されるものである。
[0060] 具体的には、番号 1の不正トラヒック条件は、「伝送帯域 TlKbps以上、パケットが S 1秒以上連続送信されている」というトラヒックパターンを示している。また、番号 2の不 正トラヒック条件は、「伝送帯域 T2Kbps以上、 ICMP (InternetControlMessageProto col)上のエコー応答（EchoReply)メッセージのパケットが S2秒以上連続送信されてい る」というトラヒックパターンを示している。さらに、番号 3の不正トラヒック条件は、「伝送 帯域 T3Kbps以上、データが長すぎるためパケットに含まれるデータは複数 IPバケツ トに分割して送信していることを示すフラグメントパケットが S3秒以上連続送信されて V、る」と 、うトラヒックパターンを示して 、る。
[0061] 図 5は、正規条件テーブル 13cに記憶される情報、より詳細には、正当な利用者が 利用して!ヽる通信端末 30から送信されるパケットを表す「正規条件」の一例を示す図 である。同図に示すように、正規条件は、 IPパケットにおける属性とそれら属性値の 組からなる複数のレコードで構成される。なお、番号はレコード (パターン)を特定する ために便宜上使用されるものである。 [0062] 具体的には、番号 1のレコードの検出属性は、 IPの「SourceIPAddress (送信元 IPァ ドレス）」が「172.16.10.0/24」であることを指定し（src=172.16.10.0/24)、番号 2のレコ ードの検出属性は IP上のサービス品質を示す「TypeoService (サービスタイプ）」が「 (16進で) 01」であることを指定している（TOS=0x01)。このような正規条件には、例え ば、サーバ所有者の会社の支店や、関連会社など、防御対象のサーバ 20等の送信 元 IPアドレスが設定され、サーバ 20が収容されて!、る LANの所有者が正規ユーザ であると認識しているネットワークの送信元 IPアドレスなどが設定される。
[0063] 図 2の説明に戻ると、攻撃検出部 13は、パケット取得部 12によって提供された統計 情報に基づいて攻撃の検出を検出した場合に、攻撃容疑トラヒックの通信パケット（ 攻撃容疑パケット）を制限するための容疑シグネチヤを生成する。具体的には、攻撃 検出部 13は、図 3に示した攻撃容疑検出条件に従って、検出間隔で指定されている より長 、時間連続して、検出閾値で指定されて 、る以上の伝送帯域を使用して 、る、 検出属性に合致するトラヒックをチェックし、各レコードの内のいずれかのレコードに 合致した場合には、このトラヒックを攻撃容疑トラヒックとして検出し、このときに検出さ れた攻撃容疑トラヒックが満たしている攻撃容疑検出条件のレコードの検出属性を容 疑シグネチヤとして生成する。
[0064] また、攻撃検出部 13は、攻撃を検出した場合に、容疑シグネチヤとともに正規シグ ネチヤを生成する。具体的には、図 5に示した正規条件を参照し、正規条件の全ての レコード毎に、容疑シグネチヤとの AND条件をとり、これを正規シグネチヤとして生成 する。この正規シグネチヤは、容疑シグネチヤ力も正規ユーザの通信パケットである 正規パケットを許可するために用いられるシグネチヤである力 例えば、図 3および図 5の例を用いて説明すると、図 3における番号 1のレコードの条件で検出されるバケツ トの容疑シグネチヤは、 [dst=192.168.1. l/32,Protocol=TCP,Port=80]となり、図 5にお いて、正規シグネチヤは、 [src=172.16.10.24,dst=192.168.1. l/32,Protocol=TCP,Port =80]および [TOS=0x01,dst=192.168.1.1/32, Protocol=TCP,Port=80]となる。
[0065] さらに、攻撃検出部 13は、図 4に示した不正トラヒック条件のいずれかのパターンに 合致するトラヒックを検出した場合に、不正トラヒックを制限するための不正シグネチヤ を生成する。具体的には、検出された不正トラヒック条件を満たすパケットの送信元 IP アドレスを不正アドレス範囲として特定し、この不正アドレス範囲であり、かつ、容疑シ グネチヤに合致するという条件を不正シグネチヤとして生成する。
[0066] 上述してきた攻撃検出部 13によって生成された容疑シグネチヤ、正規シグネチヤ および不正シグネチヤは、後述する優先順位決定部 15の処理によってシグネチヤリ スト 16aに登録される。なお、シグネチヤリスト 16aに登録されるシグネチヤ (容疑シグ ネチヤ、正規シグネチヤおよび不正シグネチヤ）としては、かかる攻撃検出部 13によ つて生成されたシグネチヤの他に、後述するシグネチヤ通信部 14を介して隣接中継 装置から受信したシグネチヤや、入力部 17を介してネットワーク管理者力も入力され たシグネチヤ (新たに設定されるシグネチヤや修正されたシグネチヤ)もある。
[0067] 図 2において、シグネチヤ通信部 14は、攻撃検出部 13が生成したシグネチヤ等を 隣接中継装置に送信するとともに、隣接中継装置カゝら送信されたシグネチヤを受信 する処理部である。
[0068] 優先順位決定部 15は、後述するシグネチヤリスト 16aに登録するシグネチヤ（シグ ネチヤ通信部 14が受信したシグネチヤ、攻撃検出部 13が生成したシグネチヤ、入力 部 17を介してネットワーク管理者が設定したシグネチヤ）について優先順位を決定す る処理部である。つまり、優先順位を決定した結果を表すシグネチヤリスト 16aを作成 し、作成したシグネチヤリスト 16aをフィルタ部 16に登録する。なお、シグネチヤには、 特定のパケットが流入するときの帯域を制限するための制限情報が含まれる。
[0069] ここで、図 6を用いて、シグネチヤリスト 16aを説明する。図 6は、シグネチヤリスト 16a に記憶される情報の例を示す図である。同図に示すように、シグネチヤの種別には、 ネットワーク管理者が設定した設定シグネチヤと、中継装置 10で自動的に生成され た自動生成シグネチヤ（シグネチヤ通信部 14が受信したシグネチヤ、攻撃検出部 13 が生成したシグネチヤ）とに分けることができ、また、それぞれのシグネチヤについて も、不正なパケットを制限させるための不正シグネチヤと、正当なパケットを許可する ための正規シグネチヤと、攻撃容疑パケットを制限するための容疑シグネチヤとに分 けることができる。
[0070] そして、同図に示すように、本実施例において、優先順位決定部 15は、自動的に 生成された「自動生成シグネチヤ」よりも「設定シグネチヤ」の方が優先度が高くなるよ うに、シグネチヤリスト 16aに登録するシグネチヤの優先順位を決定する。さらに、優 先順位決定部 15は、同図に示すように、「正規シグネチヤ」や「容疑シグネチヤ」よりも 「不正シグネチヤ」の方が優先度が高くなるように、また、「容疑シグネチヤ」よりも「正 規シグネチヤ」の方が優先度が高くなるように、シグネチヤリスト 16aに登録するシグネ チヤの優先順位を決定する。具体的には、図 6の例では、シグネチヤに対応付けられ る優先順位が小さ 、ほど優先度が高 、ことを意味しており、設定シグネチヤ (シグネ チヤ Aおよびシグネチヤ B)、不正シグネチヤ（シグネチヤ C)、正規シグネチヤ（シグネ チヤ D)、容疑シグネチヤ (シグネチヤ E及びシグネチヤ F)の順で優先度が低くなる。
[0071] また、優先順位決定部 15は、例えば、図 6に示したシグネチヤ Eおよびシグネチヤ F のように、同一の種別内に複数のシグネチヤがある場合には、それぞれのシグネチヤ に含まれる制限情報の内容に応じて優先順位を決定する。具体的に例を挙げれば、 シグネチヤの制限帯域 (この制限帯域に含まれるパケットであれば通過を許可すると いう制限帯域)が小さいほど、シグネチヤの優先度を高くする。
[0072] また、優先順位決定部 15は、同一の種別内にある複数のシグネチヤ (例えば、制 限情報を含まない正規シグネチヤ）について、シグネチヤリスト 16aに入力された順に 優先度を高くするようにしてもよい。さらに、同一の種別内にある複数のシグネチヤに ついて制限帯域が同じであった場合にも、シグネチヤリスト 16aに入力された順に優 先度を高くするようにしてもょ 、。
[0073] このように、優先順位決定部 15は、シグネチヤの種別や制限帯域等に基づ 、て、 シグネチヤ通信部 14が受信したシグネチヤ、攻撃検出部 13が生成したシグネチヤ、 並びに、入力部 17を介してネットワーク管理者が設定したシグネチヤについて、優先 順位を決定する。そして、優先順位決定部 15は、力かる優先順位が付与されたシグ ネチヤをシグネチヤリスト 16aに登録する。
[0074] 図 2において、フィルタ部 16は、ネットワークインタフェース部 11が受信したパケット を受け入れて、シグネチヤリスト 16aに基づいてパケットの通過（ネットワークインタフエ ース部 11からのパケットの出力）を制御する処理部である。具体的には、フィルタ部 1 6は、入力されたパケットについて、シグネチヤリスト 16aに登録された「不正シグネチ ャ」、「正規シグネチヤ」、「容疑シグネチヤ」のいずれかに該当するか (もしくはいずれ にも該当しないか）を判別する処理を行うが、より詳細には、シグネチヤリスト 16aに登 録されたシグネチヤのな力から優先順位 (優先度)の高 、順にシグネチヤを選択し、 選択したシグネチヤに該当する力否かを判別する。すなわち、図 6に示した例で言え ば、シグネチヤ A力もシグネチヤ Fの順にシグネチヤを選択する。
[0075] そして、フィルタ部 16は、入力されたパケットが、優先度に従って順に選択したいず れかのシグネチヤの条件を満たして 、た場合には、パケットを後述する所定のキュー に入力する、または廃棄するなど、選択したシグネチヤの内容に基づいてパケットの 通過を制御するが、力かる制御の後には、この制御に用いたシグネチヤよりも優先順 位の低いシグネチヤに対する処理を行わない。つまり、例を挙げれば、入力されたパ ケットがシグネチヤ Aおよびシグネチヤ Bの条件を満たさず、シグネチヤ Cの条件を満 たしていた場合には、フィルタ部 16は、シグネチヤ Cに基づいてパケットを所定のキュ 一に入力する、または廃棄するなど、不正シグネチヤに対応する処理を行い、このよ うに制御したパケットにお 、て、シグネチヤ Cよりも優先順位の低 、シグネチヤとなるシ グネチヤ Dからシグネチヤ Fを用いて処理することはしな!/、。
[0076] ここで、キューについて説明すると、フィルタ部 16は、不正シグネチヤに該当するパ ケットは、不正なパケットを処理するための不正キューに入力し、容疑シグネチヤに該 当するパケットは、容疑ユーザ用の容疑キューに入力し、正規シグネチヤに該当する パケットまたはいずれのシグネチヤにも該当しないパケットは、正規ユーザ用の正規 キューに入力する。その上で、フィルタ部 16は、正規キューに入力されたパケットに ついては、伝送帯域を制限せずにネットワークインタフェース部 11から出力し、容疑 キューおよび不正キューに入力されたパケットについては、それぞれのシグネチヤ（ 条件を満たすとして選択されたシグネチヤ）が示す伝送帯域制限値に従って制限し て出力する。
[0077] なお、フィルタ部 16は、シグネチヤリスト 16aに登録されたシグネチヤの検出属性等 が所定の解除判断基準を満たした場合には、この所定の解除判断基準を満たしたシ グネチヤを解除し、解除したシグネチヤに基づ 、てパケットの通過を制御する処理を 停止する。
[0078] [攻撃容疑パケット検出時の処理] 続いて、図 7を参照して、上記した中継装置 10による攻撃容疑パケット検出時の動 作処理を説明する。図 7は、攻撃容疑パケット検出時の処理手順を示すフローチヤ一 トである。
[0079] 同図に示すように、中継装置 10の攻撃検出部 13は、図 3に示した攻撃容疑検出条 件テーブル 13aに基づいて攻撃容疑トラヒックを検出すると (ステップ S1)、容疑シグ ネチヤおよび正規シグネチヤを生成する (ステップ S2)。そして、優先順位決定部 15 は、攻撃検出部 13によって生成された容疑シグネチヤおよび正規シグネチヤを受け 入れて、シグネチヤの優先順位を決定する (ステップ S3)。
[0080] 具体的には、優先順位決定部 15は、容疑シグネチヤよりも正規シグネチヤの方を 優先順位を高く決定するとともに、容疑シグネチヤの種別に対応するシグネチヤが複 数ある場合には、それぞれのシグネチヤに含まれる制限情報の帯域が小さいほど、 シグネチヤの優先順位を高く決定する。さらに、既にシグネチヤリスト 16aに登録され ている設定シグネチヤの方が優先順位が高くなるように、攻撃検出部 13によって生 成された容疑シグネチヤおよび正規シグネチヤの優先順位を決定する。
[0081] その後、優先順位決定部 15は、優先順位を決定した結果を表すシグネチヤリスト 1 6aを作成し、作成したシグネチヤリスト 16aをフィルタ部 16に登録する（ステップ S4)。 さらに、シグネチヤ通信部 14は、攻撃検出部 13が生成したシグネチヤ等 (本実施例 では、容疑シグネチヤおよび正規条件)を隣接中継装置に送信する (ステップ S5)。 なお、優先順位決定部 15は、攻撃容疑トラヒックを検出した場合だけでなぐ後述す るように、シグネチヤ通信部 14が他の中継装置 10からシグネチヤを受信した場合や ネットワーク管理者がシグネチヤを入力した場合にも、同様に優先順位を決定する。
[0082] [シグネチヤ受信時の処理]
続いて、図 8を参照して、上記した中継装置 10によるシグネチヤ受信時の動作処理 を説明する。図 8は、シグネチヤ受信時の処理手順を示すフローチャートである。
[0083] 同図に示すように、中継装置 10のシグネチヤ通信部 14が、隣接中継装置から送信 されたシグネチヤ等 (本実施例では、容疑シグネチヤおよび正規条件)を受信すると（ ステップ S11)、攻撃検出部 13は、シグネチヤ通信部 14が受信した正規条件に基づ V、て正規シグネチヤを生成する（ステップ S 12)。 [0084] さらに、優先順位決定部 15は、シグネチヤ通信部 14が受信した容疑シグネチヤお よび攻撃検出部 13が生成した正規シグネチヤを受け入れて、シグネチヤの優先順位 を決定する (ステップ S 13)。ここで、優先順位の決定手法は、上記した攻撃容疑パケ ット検出時で採用するものと同様である。つまり、容疑シグネチヤよりも正規シグネチ ャの方を優先順位を高く決定するとともに、容疑シグネチヤの種別に対応するシグネ チヤが複数ある場合には、それぞれのシグネチヤに含まれる制限情報の帯域が小さ いほど、シグネチヤの優先順位を高く決定する。さらに、既にシグネチヤリスト 16aに 登録されている設定シグネチヤの方が優先順位が高くなるように、隣接中継装置力 受信した容疑シグネチヤおよび攻撃検出部 13によって生成された正規シグネチヤの 優先順位を決定する。
[0085] その後、優先順位決定部 15は、優先順位を決定した結果を表すシグネチヤリスト 1 6aを作成し、作成したシグネチヤリスト 16aをフィルタ部 16に登録する（ステップ S 14) 。さらに、シグネチヤ通信部 14は、隣接中継装置力も受信したシグネチヤ等 (本実施 例では、受信した容疑シグネチヤおよび正規条件)を隣接中継装置に送信する (ステ ップ S15)。
[0086] [不正パケット検出時の処理]
続いて、図 9を参照して、上記した中継装置 10による不正パケット検出時の動作処 理を説明する。図 9は、不正パケット検出時の処理手順を示すフローチャートである。
[0087] 同図に示すように、中継装置 10の攻撃検出部 13は、図 4に示した不正トラヒック条 件検出テーブル 13b等に基づいて不正トラヒックを検出すると (ステップ S21)、不正 シグネチヤを生成する (ステップ S22)。そして、優先順位決定部 15は、攻撃検出部 1 3によって生成された不正シグネチヤを受け入れて、シグネチヤの優先順位を決定す る（ステップ S 23)。
[0088] 具体的には、優先順位決定部 15は、既にシグネチヤリスト 16aに登録されている設 定シグネチヤの方が優先順位が高くなるように、また、既にシグネチヤリスト 16aに登 録されて!/、る容疑シグネチヤや正規シグネチヤよりも優先順位が高くなるように、攻撃 検出部 13によって生成された不正シグネチヤの優先順位を決定する。さらに、不正 シグネチヤの種別に対応するシグネチヤが複数ある場合には、それぞれのシグネチ ャに含まれる制限情報の帯域が小さいほど、シグネチヤの優先順位を高く決定する。
[0089] その後、優先順位決定部 15は、優先順位を決定した結果を表すシグネチヤリスト 1 6aを作成し、作成したシグネチヤリスト 16aをフィルタ部 16に登録する（ステップ S24) 。なお、優先順位決定部 15は、攻撃容疑トラヒックを検出した場合や、他の中継装置 10からシグネチヤを受信した場合、不正パケットを検出した場合の他に、ネットワーク 管理者カゝら入力部 17を介してシグネチヤを入力した場合にも、上記した優先順位の 決定手法に従って、ネットワーク管理者が設定したシグネチヤの優先順位を決定する
[0090] [実施例の効果]
上述してきたように、上記の実施例によれば、シグネチヤリスト 16aに登録されるシグ ネチヤにつ 、て優先順位を決定しておき、優先順位の高 、順にシグネチヤを選択し 、当該選択されたシグネチヤに基づいてパケットの通過を制御するので、複数のシグ ネチヤがある場合において所望の順序でパケットを処理することが可能になる。
[0091] また、上記の実施例によれば、自動生成シグネチヤよりも設定シグネチヤの方に高 V、優先順位を付与するので、ネットワーク管理者が設定した設定シグネチヤが優先 的にパケットの制御に用いられる結果、ネットワーク管理者が意図する制御を優先的 に行うことが可能になる。
[0092] また、上記の実施例によれば、パケットの通過を所定の範囲で制限するための複数 のシグネチヤにっ 、ては、制限の範囲が厳し ヽシグネチヤの方に高 、優先順位を付 与するので、シグネチヤに含まれる制限情報の帯域が厳 、シグネチヤほど優先的 にパケットの制御に用いられる結果、パケットの制御に矛盾を生じさせることなぐ確 実にパケットを処理することが可能になる。
[0093] [他の実施例]
さて、これまで本発明の実施例について説明したが、本発明は上述した実施例以 外にも、種々の異なる形態にて実施されてよいものである。
[0094] 例えば、上記の実施例では、「容疑シグネチヤ」よりも「正規シグネチヤ」の方が優先 度が高くなるように優先順位を決定する場合を説明したが、本発明はこれに限定され るものではなぐ「正規シグネチヤ」よりも「容疑シグネチヤ」の方が優先度が高くなるよ うに優先順位を決定するようにしてもよい。すなわち、上記の実施例で説明した優先 順位の決定手法は、あくまでも一例であって、本発明はこれに限定されるものではな ぐ他の優先順位決定手法を採用する場合にも本発明を同様に適用することができ る。
[0095] また、上記の実施例では、攻撃検出時に「容疑シグネチヤ」を必ず生成し、この「容 疑シグネチヤ」の生成時、もしくは、他の中継装置からの「容疑シグネチヤ」の受信時 に「正規シグネチヤ」を生成する場合を説明したが、本発明はこれに限定されるもの ではなぐ「容疑シグネチヤ」を生成することなく「正規シグネチヤ」を生成したり、「容 疑シグネチヤ」を受信することなく「正規シグネチヤ」を生成したりするようにしてもょ ヽ
[0096] また、上記の実施例で図示した各装置 (例えば、図 1に例示した中継装置 10)の各 構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されているこ とを要しない。すなわち、中継装置 10の分散 '統合の具体的形態は図示のものに限 られず、中継装置 10の全部または一部を各種の負荷や使用状況などに応じて、任 意の単位で機能的または物理的に分散 '統合して構成することができる。さらに、中 継装置 10にて行なわれる各処理機能は、その全部または任意の一部が、 CPUおよ び当該 CPUにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジ ックによるハードウェアとして実現され得る。
[0097] また、上記の実施例で説明した各処理のうち、自動的におこなわれるものとして説 明した処理の全部または一部を手動的におこなうこともでき、あるいは、手動的にお こなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこ なうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体 的名称、各種のデータやパラメータを含む情報 (例えば、攻撃容疑検出条件テープ ル、不正トラヒック検出条件テーブル、正規条件テーブルの内容等）については、特 記する場合を除いて任意に変更することができる。
[0098] なお、上記の実施例では、本発明を実現する各装置 (例えば、中継装置 10)を機 能面力 説明した力 各装置の各機能はパーソナルコンピュータやワークステーショ ンなどのコンピュータにプログラムを実行させることによって実現することもできる。す なわち、本実施例 1で説明した各種の処理手順は、あら力じめ用意されたプログラム をコンピュータ上で実行することによって実現することができる。そして、これらのプロ グラムは、インターネットなどのネットワークを介して配布することができる。さらに、こ れらのプログラムは、ハードディスク、フレキシブルディスク（FD)、 CD— ROM、 MO 、 DVDなどのコンピュータで読み取り可能な記録媒体に記録され、コンピュータによ つて記録媒体力も読み出されることによって実行することもできる。つまり、例を挙げ れば、実施例に示したような中継装置用プログラムを格納した CD— ROMを配布し、 この CD— ROMに格納されたプログラムを各コンピュータが読み出して実行するよう にしてもよい。
産業上の利用可能性
以上のように、本発明に係る中継装置、中継方法および中継プログラム並びにネッ トワーク攻撃防御システムは、パケットの通過を制御するためのシグネチヤに基づい てネットワーク上のパケットの通過を制御する場合に有用であり、特に、複数のシグネ チヤがあっても所望の順序でパケットを処理することに適する。

Claims

請求の範囲
[1] パケットの通過を制御するためのシグネチヤを記憶するシグネチヤ記憶手段を有し
、当該シグネチヤ記憶手段に記憶されたシグネチヤに基づ 、てパケットの通過を制 御するネットワーク上の中継装置であって、
前記シグネチヤ記憶手段に記憶されるシグネチヤについて優先順位を決定する優 先順位決定付与手段と、
前記優先順位決定手段によって決定された優先順位の高 、順に、前記シグネチヤ 記憶手段からシグネチヤを選択し、当該選択されたシグネチヤに基づ ヽて前記パケ ットの通過を制御するパケット制御手段と、
を備えたことを特徴とする中継装置。
[2] 前記シグネチヤ記憶手段は、所定の条件判定によって自動的に生成された自動生 成シグネチヤおよび前記ネットワークの管理者によって設定された設定シグネチヤを 記憶するものであって、
前記優先順位決定手段は、前記シグネチヤ記憶手段に記憶される自動生成シグネ チヤおよび設定シグネチヤにつ!、て、当該自動生成シグネチヤよりも設定シグネチヤ の方に高 、優先順位を付与することを特徴とする請求項 1に記載の中継装置。
[3] 前記シグネチヤ記憶手段は、前記パケットの通過を所定の範囲で制限するための 複数のシグネチヤを記憶するものであって、
前記優先順位決定手段は、前記シグネチヤ記憶手段に記憶される複数のシグネチ ャにつ 、て、前記制限の範囲が厳 、シグネチヤの方に高 、優先順位を付与するこ とを特徴とする請求項 1または 2に記載の中継装置。
[4] 所定の攻撃容疑検出条件に基づいて攻撃容疑パケットを検出し、当該攻撃容疑パ ケットを制限するための容疑シグネチヤを生成する容疑シグネチヤ生成手段を備え、 前記優先順位決定手段は、前記容疑シグネチヤ生成手段によって容疑シグネチヤ が生成された場合に、当該容疑シグネチヤに優先順位を付与して前記シグネチヤ記 憶手段に格納することを特徴とする請求項 1に記載の中継装置。
[5] 所定の正規条件に基づ!、て正当なパケットを許可するための正規シグネチヤを生 成する正規シグネチヤ生成手段を備え、 前記優先順位決定手段は、前記正規シグネチヤ生成手段によって正規シグネチヤ が生成された場合に、当該正規シグネチヤに優先順位を付与して前記シグネチヤ記 憶手段に格納することを特徴とする請求項 1に記載の中継装置。
[6] 所定の不正トラヒック検出条件に基づいて不正パケットを検出し、当該不正パケット を制限するための不正シグネチヤを生成する不正シグネチヤ生成手段を備え、 前記優先順位決定手段は、前記不正シグネチヤ生成手段によって不正シグネチヤ が生成された場合に、当該不正シグネチヤに優先順位を付与して前記シグネチヤ記 憶手段に格納することを特徴とする請求項 1に記載の中継装置。
[7] 攻撃容疑パケットを制限するための容疑シグネチヤを他の中継装置力 受信する シグネチヤ受信手段を備え、
前記優先順位決定手段は、前記シグネチヤ生成手段によって容疑シグネチヤが受 信された場合に、当該容疑シグネチヤに優先順位を付与して前記シグネチヤ記憶手 段に格納することを特徴とする請求項 1に記載の中継装置。
[8] 前記他の中継装置力も受信した所定の正規条件に基づいて正当なパケットを許可 するための正規シグネチヤを生成する正規シグネチヤ生成手段を備え、
前記優先順位決定手段は、前記正規シグネチヤ生成手段によって正規シグネチヤ が生成された場合に、当該正規シグネチヤに優先順位を付与して前記シグネチヤ記 憶手段に格納することを特徴とする請求項 1に記載の中継装置。
[9] ネットワーク管理者力 シグネチヤを受け付けて入力するシグネチヤ入力手段を備 え、
前記優先順位決定手段は、前記シグネチヤ入力手段によってシグネチヤが入力さ れた場合に、当該シグネチヤに優先順位を付与して前記シグネチヤ記憶手段に格納 することを特徴とする請求項 1に記載の中継装置。
[10] パケットの通過を制御するためのシグネチヤを記憶するシグネチヤ記憶手段を有し
、当該シグネチヤ記憶手段に記憶されたシグネチヤに基づ 、てパケットの通過を制 御するネットワーク攻撃防御システムであって、
前記シグネチヤ記憶手段に記憶されるシグネチヤについて優先順位を決定する優 先順位決定付与手段と、 前記優先順位決定手段によって決定された優先順位の高 、順に、前記シグネチヤ 記憶手段からシグネチヤを選択し、当該選択されたシグネチヤに基づ ヽて前記パケ ットの通過を制御するパケット制御手段と、
を備えたことを特徴とするネットワーク攻撃防御システム。
[11] パケットの通過を制御するためのシグネチヤを記憶するシグネチヤ記憶手段を有し
、当該シグネチヤ記憶手段に記憶されたシグネチヤに基づ 、てパケットの通過を制 御するネットワーク上の装置における中継方法であって、
前記シグネチヤ記憶手段に記憶されるシグネチヤについて優先順位を決定する優 先順位決定付与工程と、
前記優先順位決定工程によって決定された優先順位の高 、順に、前記シグネチヤ 記憶手段からシグネチヤを選択し、当該選択されたシグネチヤに基づ ヽて前記パケ ットの通過を制御するパケット制御工程と、
を含んだことを特徴とする中継方法。
[12] 前記シグネチヤ記憶手段は、所定の条件判定によって自動的に生成された自動生 成シグネチヤおよび前記ネットワークの管理者によって設定された設定シグネチヤを 記憶するものであって、
前記優先順位決定工程は、前記シグネチヤ記憶手段に記憶される自動生成シグネ チヤおよび設定シグネチヤにつ!、て、当該自動生成シグネチヤよりも設定シグネチヤ の方に高 、優先順位を付与することを特徴とする請求項 11に記載の中継方法。
[13] 前記シグネチヤ記憶手段は、前記パケットの通過を所定の範囲で制限するための 複数のシグネチヤを記憶するものであって、
前記優先順位決定工程は、前記シグネチヤ記憶手段に記憶される複数のシグネチ ャにつ 、て、前記制限の範囲が厳 、シグネチヤの方に高 、優先順位を付与するこ とを特徴とする請求項 11または 12に記載の中継方法。
[14] パケットの通過を制御するためのシグネチヤをシグネチヤ記憶手段に記憶し、当該 シグネチヤ記憶手段に記憶されたシグネチヤに基づいてパケットの通過を制御する 方法をコンピュータに実行させる中継プログラムであって、
前記シグネチヤ記憶手段に記憶されるシグネチヤについて優先順位を決定する優 先順位決定付与手順と、
前記優先順位決定手順によって決定された優先順位の高 ヽ順に、前記シグネチヤ 記憶手段からシグネチヤを選択し、当該選択されたシグネチヤに基づ ヽて前記パケ ットの通過を制御するパケット制御手順と、
をコンピュータに実行させることを特徴とする中継プログラム。
[15] 前記シグネチヤ記憶手段は、所定の条件判定によって自動的に生成された自動生 成シグネチヤおよび前記ネットワークの管理者によって設定された設定シグネチヤを 記憶するものであって、
前記優先順位決定手順は、前記シグネチヤ記憶手段に記憶される自動生成シグネ チヤおよび設定シグネチヤにつ!、て、当該自動生成シグネチヤよりも設定シグネチヤ の方に高 ヽ優先順位を付与することを特徴とする請求項 14に記載の中継プログラム
[16] 前記シグネチヤ記憶手段は、前記パケットの通過を所定の範囲で制限するための 複数のシグネチヤを記憶するものであって、
前記優先順位決定手順は、前記シグネチヤ記憶手段に記憶される複数のシグネチ ャにつ 、て、前記制限の範囲が厳 、シグネチヤの方に高 、優先順位を付与するこ とを特徴とする請求項 14または 15に記載の中継プログラム。
PCT/JP2005/016666 2004-10-12 2005-09-09 中継装置、中継方法および中継プログラム並びにネットワーク攻撃防御システム WO2006040895A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2006540853A JPWO2006040895A1 (ja) 2004-10-12 2005-09-09 中継装置、中継方法および中継プログラム並びにネットワーク攻撃防御システム
EP05782015A EP1802057A1 (en) 2004-10-12 2005-09-09 Repeater, repeating method, repeating program, network attack defensing system

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2004298246 2004-10-12
JP2004-298246 2004-10-12

Publications (1)

Publication Number Publication Date
WO2006040895A1 true WO2006040895A1 (ja) 2006-04-20

Family

ID=36148197

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2005/016666 WO2006040895A1 (ja) 2004-10-12 2005-09-09 中継装置、中継方法および中継プログラム並びにネットワーク攻撃防御システム

Country Status (5)

Country Link
EP (1) EP1802057A1 (ja)
JP (1) JPWO2006040895A1 (ja)
KR (1) KR20060060671A (ja)
CN (1) CN1879372A (ja)
WO (1) WO2006040895A1 (ja)

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR100937217B1 (ko) * 2007-12-07 2010-01-20 한국전자통신연구원 시그니처 최적화 시스템 및 방법
KR101444908B1 (ko) * 2013-01-08 2014-09-26 주식회사 시큐아이 시그니처를 저장하는 보안 장치 및 그것의 동작 방법
KR101580417B1 (ko) * 2014-12-30 2016-01-04 고려대학교 산학협력단 시그니쳐 리스트 정렬 방법

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003283554A (ja) * 2002-03-22 2003-10-03 Nippon Telegr & Teleph Corp <Ntt> 分散型サービス不能攻撃防止方法及びゲート装置、通信装置ならびにプログラム

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003283554A (ja) * 2002-03-22 2003-10-03 Nippon Telegr & Teleph Corp <Ntt> 分散型サービス不能攻撃防止方法及びゲート装置、通信装置ならびにプログラム

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
MORIKAWA Y, ET AL.: "Active Network Gijutsu o Riyo shita DDoS Kogeki Taisaku System no Kochiku Oyobi Hyoka", INFORMATION PROCESSING SOCIETY OF JAPAN KENKYU HOKOKU, vol. 2002, no. 68, 19 July 2002 (2002-07-19), pages 69 - 75, XP002999514 *

Also Published As

Publication number Publication date
CN1879372A (zh) 2006-12-13
JPWO2006040895A1 (ja) 2008-05-15
EP1802057A1 (en) 2007-06-27
KR20060060671A (ko) 2006-06-05

Similar Documents

Publication Publication Date Title
US10084825B1 (en) Reducing redundant operations performed by members of a cooperative security fabric
US20070166051A1 (en) Repeater, repeating method, repeating program, and network attack defending system
US20060037075A1 (en) Dynamic network detection system and method
US20060026679A1 (en) System and method of characterizing and managing electronic traffic
WO2002101516A2 (en) Method and apparatus for distributed network security
EP1668511A2 (en) System and method for dynamic distribution of intrusion signatures
EP1804447A1 (en) Protect device, protect method, protect program, and network attack protect system
WO2006040895A1 (ja) 中継装置、中継方法および中継プログラム並びにネットワーク攻撃防御システム
JP2009182728A (ja) 試験装置
JP2009181226A (ja) ファイアウォール装置
JP2009182725A (ja) 監視装置
JP2009182713A (ja) 試験装置
JP2009188573A (ja) 経路情報管理装置
JP2009188576A (ja) 試験装置
JP2009182474A (ja) ファイアウォール装置
JP2009182723A (ja) 監視装置
JP2009164711A (ja) ボット検出装置
JP2009182710A (ja) ピア・ツー・ピア通信制御装置
EP2040437A2 (en) Distributed ISP system for the inspection and elimination of eThreats in a multi-path environment
JP2009188559A (ja) ルータ装置
JP2009182520A (ja) 不正侵入防止装置
JP2009182727A (ja) 監視装置
JP2009182712A (ja) ピア・ツー・ピア通信制御装置
JP2009188569A (ja) 経路情報管理装置
JP2009182514A (ja) 不正侵入防止装置

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 200580000658.1

Country of ref document: CN

WWE Wipo information: entry into national phase

Ref document number: 2006540853

Country of ref document: JP

WWE Wipo information: entry into national phase

Ref document number: 1020067002305

Country of ref document: KR

Ref document number: 2005782015

Country of ref document: EP

AK Designated states

Kind code of ref document: A1

Designated state(s): AE AG AL AM AT AU AZ BA BB BG BR BW BY BZ CA CH CN CO CR CU CZ DE DK DM DZ EC EE EG ES FI GB GD GE GH GM HR HU ID IL IN IS JP KE KG KM KP KR KZ LC LK LR LS LT LU LV MA MD MG MK MN MW MX MZ NA NG NI NO NZ OM PG PH PL PT RO RU SC SD SE SG SK SL SM SY TJ TM TN TR TT TZ UA UG US UZ VC VN YU ZA ZM ZW

AL Designated countries for regional patents

Kind code of ref document: A1

Designated state(s): GM KE LS MW MZ NA SD SL SZ TZ UG ZM ZW AM AZ BY KG KZ MD RU TJ TM AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HU IE IS IT LT LU LV MC NL PL PT RO SE SI SK TR BF BJ CF CG CI CM GA GN GQ GW ML MR NE SN TD TG

WWP Wipo information: published in national office

Ref document number: 1020067002305

Country of ref document: KR

121 Ep: the epo has been informed by wipo that ep was designated in this application
NENP Non-entry into the national phase

Ref country code: DE

WWP Wipo information: published in national office

Ref document number: 2005782015

Country of ref document: EP

WWW Wipo information: withdrawn in national office

Ref document number: 2005782015

Country of ref document: EP